内蒙古自治区计算机信息系统安全保护办法

第一篇：内蒙古自治区计算机信息系统安全保护办法

内蒙古自治区计算机信息系统安全保护办法

第一章 总 则

第一条 为保护计算机信息系统安全，根据《中华人民共和国计算机信息系统安全保护条例》及有关法律法规，结合自治区实际，制定本办法。

第二条 本办法适用于自治区行政区域内计算机信息系统的安全保护。

第三条 旗县级以上人民政府公安机关主管本行政区域内计算机信息系统的安全保护工作。国家安全机关、保密工作部门、密码管理部门和其他有关部门在各自职责范围内做好计算机信息系统的安全保护工作。

第四条 计算机信息系统的安全保护，应当保障计算机及其相关的和配套的设备、设施、网络的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。

第二章 安全等级保护

第五条 计算机信息系统实行安全等级保护制度。安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中的重要程度，计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织合法权益的危害程度等因素确定，分为五级。

（一）计算机信息系统受到破坏后，可能对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益的，为第一级；

（二）计算机信息系统受到破坏后，可能对公民、法人和其他组织的合法权益造成严重损害，或者可能对社会秩序和公共利益造成损害，但不损害国家安全的，为第二级；

（三）计算机信息系统受到破坏后，可能对社会秩序和公共利益造成严重损害，或者可能对国家安全造成损害的，为第三级；

（四）计算机信息系统受到破坏后，可能对社会秩序和公共利益造成特别严重损害，或者可能对国家安全造成严重损害的，为第四级；

（五）计算机信息系统受到破坏后，可能对国家安全造成特别严重损害的，为第五级。

第六条 计算机信息系统运营、使用单位应当遵守下列规定：

（一）对计算机信息系统安全保护等级准确定级，并按照等级保护管理规范和技术标准实施保护；

（二）新建计算机信息系统的，应当在规划、设计阶段确定安全保护等级，同步建设符合该安全保护等级要求的信息系统安全保护设施，落实安全保护措施；

（三）计算机信息系统的结构、处理流程、服务内容等发生重大变化，或者公安机关要求重新确定等级的，应当重新定级；

（四）按照计算机信息系统安全保护等级要求，使用符合国家及自治区规定并取得国家计算机信息系统安全专用产品销售许可证的信息安全产品；

（五）定期对本单位计算机信息系统的安全状况、保护制度和措施进行自查和整改；

（六）建立安全保护组织，确定安全管理责任人，指定专职人员负责本单位计算机信息系统的安

全管理。

第七条 第二级以上计算机信息系统运营、使用单位，应当自确定安全保护等级之日起30日内，到所在地盟行政公署、设区的市人民政府公安机关或者其指定的受理机构备案；属于自治区统一联网、跨盟市或者中央驻自治区、自治区直属单位的计算机信息系统，应当到自治区人民政府公安机关或者其指定的受理机构备案。

第八条 公安机关应当在收到备案材料之日起10个工作日内对报送备案的材料进行审查，对符合等级保护要求的，出具备案证明。对定级不准确或者保护措施不符合技术规范的，应当书面通知报送单位予以纠正。

第九条 计算机信息系统涉及国家安全、社会公共利益、重大经济建设等信息的，其运营、使用单位或者主管部门应当选择符合法定条件的安全等级测评机构，依据国家规定的技术标准，对计算机信息系统安全等级状况进行测评。

第二级以上计算机信息系统建设完成后，经测评合格方可投入使用。

第十条 计算机信息系统确定为第二级保护等级的，应当每两年至少进行一次系统安全等级测评；确定为第三级的，应当每年至少进行一次系统安全等级测评；确定为第四级以上的，应当每半年至少进行一次系统安全等级测评。

第十一条 从事计算机信息系统安全等级测评工作的机构和人员应当遵守国家规定。申请成立安全等级测评机构的单位应当经自治区人民政府公安机关初审，并通过公安部信息安全等级保护评估中心的测评能力评估。

自治区人民政府公安机关应当加强对安全等级测评机构的监督、检查和指导。

第十二条 旗县级以上人民政府公安机关应当对计算机信息系统运营、使用单位的信息安全等级保护情况进行检查。对第三级计算机信息系统每年至少检查一次，对第四级计算机信息系统每半年至少检查一次。

对第五级计算机信息系统，应当由国家指定的专门部门进行检查。

第三章 安全管理

第十三条 公安机关应当为公众提供计算机信息系统安全保护指导，开展安全宣传教育。

第十四条 公安机关对计算机信息系统安全服务机构实行分级管理和推荐制度。

第十五条 计算机信息系统安全服务机构应当向盟市级以上公安机关备案。

计算机信息系统安全服务机构应当执行国家及自治区有关计算机信息系统安全标准，应当配备适应开展相应安全服务需要、掌握国家及自治区有关计算机信息系统安全标准的技术人员。

计算机信息系统安全服务机构及其工作人员不得泄露在开展安全服务过程中获悉的国家秘密、商业秘密以及计算机信息系统网络结构、配置等用户信息；不得非法占有、使用用户的信息资源；不得在计算机信息系统中设置隐蔽信道。

第十六条 发生重大突发事件，危及国家安全、公共安全、社会稳定及重要计算机信息系统安全的紧急情况时，盟市级以上公安机关可以按照有关法律、法规的规定，要求有关单位采取相应控制措施。计算机信息系统的运营、使用单位应当服从公安机关和国家指定部门的调度。

第十七条 基础电信运营企业和计算机信息系统的运营、使用单位应当接受公安机关的安全监督、检查、指导，并如实提供有关计算机信息系统安全保护的信息资料、互联网基础数据及其他数据文件。

第十八条 基础电信运营企业等提供互联网接入服务的单位应当执行下列规定：

（一）配合公安机关做好接入本网络联网单位和用户的备案工作，真实、准确、完整登记联网单位和用户的名称、性质、有效证件、互联网地址、装机地址、上网电话、联系人等公安机关要求备案的信息，报送同级公安机关，并及时报告本网络中联网单位和用户的变更情况；

（二）记录并留存接入本网络的联网单位和用户登录、退出互联网时间及主叫号码、账号、互联网地址等上网日志信息，留存时间不少于1年；

（三）落实相关安全保护技术措施，通过互联网地址和相关网络应用信息能够对应联网单位和用户信息；

（四）协助公安机关查处涉及互联网的违法犯罪行为，并采取人工值守、远程联网查询等方式提供24小时快速查询支持；

（五）协助公安机关对接入本网络的联网单位和用户进行安全宣传教育，落实安全保护措施；

（六）互联网络拓扑结构、通信协议等拟进行重大调整的，应当报自治区人民政府公安机关备案后实施。

第十九条 提供互联网接入服务的单位、提供服务器托管或租赁空间服务的单位、互联网信息服务提供者及其他有关电信业务经营者应当建立安全管理制度，采取异常流量和违法信息监测等安全保护技术措施，及时发现危害信息网络安全、网上传播违法信息等违法犯罪活动，保留有关原始记录，及时采取删除、停止传输等措施，并在24小时内向当地公安机关报告。

第二十条 联网单位和用户应当采取设置安全性较高的密码等安全保护措施，定期更改密码，保障所使用上网账号的安全。

基础电信运营企业可以采取动态密码认证等技术措施为联网单位和用户提供互联网接入服务。

第二十一条 联网单位和用户向其他单位、个人提供互联网上网服务或者与其他单位、个人共用上网线路、账号的，应当遵守国家有关规定，并到旗县级以上人民政府公安机关备案。

第二十二条 提供互联网上网服务的单位和通过局域网接入互联网用户终端在10台以上的联网单位应当安装、运行符合国家及自治区规定的安全管理系统。

第二十三条 宾馆、酒店、餐厅、机场、车站、阅览室等提供互联网上网服务的场所和通过无线方式接入互联网的地点管理者，应当采取用户登录认证安全技术措施，并对上网用户的身份证等有效证件进行核对、登记。

第二十四条 使用内部网络地址与互联网网络地址转换方式接入互联网的联网单位，应当记录并留存用户上网终端硬件地址等信息与内部网络地址和互联网网络地址的对应关系。留存时间不少于1年。

第二十五条 生产、销售或者提供具有计算机信息系统远程控制、密码猜解、漏洞检测、信息群发功能的产品和工具的，应当报自治区人民政府公安机关或者其指定的公安机关备案。

第四章 安全秩序

第二十六条 计算机信息系统的运营、使用单位应当建立并执行下列安全管理制度：

（一）计算机机房安全管理制度；

（二）安全责任制度；

（三）病毒、网络安全漏洞检测和系统升级制度；

（四）系统安全风险管理和应急处置制度；

（五）账号使用登记和操作权限管理制度；

（六）安全管理人员岗位工作职责；

（七）重要设备、介质管理制度；

（八）信息发布审查、登记、保存、清除和备份制度；

（九）信息群发服务管理制度；

（十）安全教育和培训制度；

（十一）案件、事件报告和协助查处制度；

（十二）其他与安全保护相关的管理制度。

第二十七条 计算机信息系统的运营、使用单位应当采取下列安全保护技术措施：

（一）系统重要部分的冗余或者备份措施；

（二）计算机病毒防治措施；

（三）网络攻击防范和追踪措施；

（四）安全审计和预警措施；

（五）系统运行和用户使用日志记录留存1年以上措施；

（六）记录用户账号、主叫电话号码和网络地址措施；

（七）身份登记和识别确认措施；

（八）垃圾信息、有害信息的防治、清理措施；

（九）信息群发限制措施；

（十）其他保护计算机信息系统安全的技术措施。

第二十八条 任何单位和个人不得利用计算机信息系统、移动通讯终端制作、传播、复制下列信息：

（一）危害国家统一、主权和领土完整的；

（二）泄露国家秘密，危害国家安全或者损害国家荣誉和利益的；

（三）煽动民族仇恨、民族歧视，破坏民族团结或者侵害民族风俗、习惯的；

（四）破坏国家宗教政策，宣扬邪教、封建迷信的；

（五）散布谣言，发布虚假信息，扰乱社会秩序，破坏社会稳定的；

（六）煽动聚众滋事，损害社会公共利益的；

（七）宣扬淫秽、色情、赌博、暴力、凶杀、恐怖的；

（八）教唆犯罪或者传授犯罪方法的；

（九）散布他人隐私，侮辱、诽谤、恐吓他人，侵害他人合法权益的；

（十）从事考试作弊相关活动的；

（十一）贩卖假币、假证件、假发票、假冒伪劣商品、枪支弹药、爆炸物、迷药、窃听器和其他

法律、法规禁止流通的物品的；

（十二）法律、法规禁止制作、传播、复制的其他信息。

第二十九条 任何单位和个人不得实施下列行为：

（一）未经允许，进入计算机信息系统或者非法占有、使用、窃取计算机信息系统资源；

（二）未经允许，对计算机信息系统功能进行删除、修改、增加或者干扰；

（三）未经允许，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改或者增加；

（四）利用计算机信息系统窃取他人账号和密码，或者擅自向第三方公开他人账号和密码；

（五）非法截取、篡改、删除他人电子邮件或者其他数据资料；

（六）故意制作、传播计算机病毒、恶意软件等破坏性程序;

（七）利用计算机信息系统假冒他人名义制作、传播信息，或者以其他方式进行网络诈骗；

（八）建立或者管理主要用于传播、交流违法犯罪信息的网站、群组、论坛等；

（九）允许、放任他人在自己所有或者管理的网站、网页、群组上发布第二十八条所禁止的信息；

（十）为非法网站提供服务器托管、虚拟主机、网络存储空间等服务，或者通过投放广告等方式向其直接、间接提供资金；

（十一）明知是非法网站，向其提供互联网接入、通讯传输通道、代收费、费用结算等服务；

（十二）以牟利为目的，在互联网上散布、删除信息，侵犯他人合法权益；

（十三）提供侵入、非法控制计算机信息系统的方法、程序、工具；

（十四）法律、法规禁止的其他利用计算机信息系统实施的行为。

第五章 法律责任

第三十条 违反本办法第六条、第九条、第十条、第十七条、第十八条第一至四项、第十九条、第二十六条、第二十七条规定的，由公安机关责令限期改正，给予警告，有违法所得的，没收违法所得；在规定的限期内未改正的，对单位的主管负责人员和其他直接责任人员处以5000元以下的罚款，对单位处以15000元以下的罚款，可以建议主管部门对相关单位的主要领导给予处分；情节严重的，并可以给予6个月以内停止联网、停机整顿的处罚。

第三十一条 违反本办法第十五条第三款规定的，由公安机关对单位的主管负责人员和其他直接责任人员处以5000元以下的罚款，对单位处以5000元以上15000元以下的罚款；有违法所得的，除没收违法所得外，可以处以违法所得1至3倍的罚款，但是最高不得超过30000元。

第三十二条 违反本办法第二十条第一款规定的，由公安机关责令限期改正，给予警告；在规定的限期内未改正的，可以给予6个月以内停止联网、停机整顿的处罚。

第三十三条 违反本办法第二十二条、第二十三条、第二十四条规定的，由公安机关责令限期改正，给予警告，有违法所得的，没收违法所得；在规定的限期内未改正的，对单位的主管负责人员和其他直接责任人员处以5000元以下的罚款，对单位处以15000元以下的罚款；情节严重的，并可以给予6个月以内停止联网、停机整顿的处罚。

第三十四条 违反本办法第二十八条、第二十九条规定的，由公安机关给予警告，对个人可以并处5000元以下的罚款，对单位可以并处15000元以下的罚款；有违法所得的，除没收违法所得

外，可以处以违法所得1至3倍的罚款，但是最高不得超过30000元；情节严重的，并可以给予6个月以内停止联网、停机整顿的处罚。

第三十五条 从事计算机信息系统安全等级测评工作的单位和人员有下列行为之一的，由公安机关对单位主管负责人员和其他直接责任人员处以5000元以下的罚款，对单位处以5000元以上15000元以下的罚款；有违法所得的，除没收违法所得外，可以处以违法所得1至3倍的罚款，但是最高不得超过30000元：

（一）未通过测评能力评估，从事测评活动的；

（二）影响被测评计算机信息系统正常运行，危害被测评计算机信息系统安全的；

（三）擅自向第三方泄露被测评计算机信息系统运营、使用单位秘密和其他信息的；

（四）故意隐瞒测评过程中发现的安全问题，或者在测评过程中弄虚作假，未如实出具测评报告的；

（五）擅自占有、使用测评相关资料及数据文件的；

（六）分包或者转包测评项目的；

（七）从事计算机信息系统安全专用产品的开发、销售及信息系统安全集成业务，或者限定被测评单位购买、使用其指定的信息安全专用产品的；

（八）其他可能影响测评结果客观、公正的行为，或者未按照国家规定开展测评工作的。

第三十六条 违反本办法规定，构成违反治安管理行为的，依照《中华人民共和国治安管理处罚法》的规定处罚；给国家、其他组织或者他人财产造成损失的，应当依法承担民事责任；构成犯罪的，依法追究刑事责任。

第三十七条 公安机关和其他有关部门及其工作人员有下列行为之一的，对直接负责的主管人员和其他直接责任人员依法给予行政处分；构成犯罪的，依法追究刑事责任。

（一）利用职权索取、收受贿赂，或者玩忽职守、滥用职权的；

（二）泄露计算机信息系统运营、使用单位或者个人的有关信息、资料及数据文件的；

（三）其他不履行法定职责的。

第六章 附 则

第三十八条 本办法所称的计算机信息系统，是指由计算机及其相关的和配套的设备、设施、网络构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

本办法所称的信息安全等级测评，是指对计算机信息系统的安全状况进行测试、评价、判断。本办法所称的安全服务机构，是指从事计算机信息系统安全设计、建设、检测、维护、监理、咨询、培训等业务的单位。

本办法所称联网单位和用户包括通过计算机或者手机等通讯终端以有线、无线等方式接入互联网的单位和用户。

第三十九条 本办法自2012年2月1日起施行。

第二篇：江西省计算机信息系统安全保护办法(江西省人民政府令第135号)

【发布单位】江西省

【发布文号】江西省人民政府令第135号 【发布日期】2004-09-23 【生效日期】2004-11-01 【失效日期】 【所属类别】地方法规 【文件来源】大江网-江西日报

江西省计算机信息系统安全保护办法

(江西省人民政府令第135号)

《江西省计算机信息系统安全保护办法》已经2004年9月7日省人民政府第25次常务会议审议通过，现予公布，自2004年11月1日起施行。

省长 黄智权

2004年9月23日

第一条第一条 为了保护计算机信息系统的安全，促进计算机的应用和发展，维护国家利益和社会公共利益，根据《 中华人民共和国计算机信息系统安全保护条例》等有关规定，结合本省实际，制定本办法。

第二条第二条 本办法所称的计算机信息系统，是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

第三条第三条 本省行政区域内的计算机信息系统的安全保护，适用本办法。

未联网的微型计算机的安全保护办法，按国家有关规定执行。

第四条第四条 计算机信息系统的安全保护工作，重点维护下列涉及国家事务、经济建设、国防建设、尖端科学技术等重要领域、重点单位的计算机信息系统的安全：

（一）县级以上国家机关、国防单位；

（二）银行、保险、证券等金融领域；

（三）邮政、电信、广播、电视领域；

（四）能源、交通领域；

（五）国家及省重点科研单位；

（六）重点网站；

（七）国家规定的其他重要领域、重点单位。

第五条第五条 公安机关是计算机信息系统安全保护工作的主管部门，其主要职责是：

（一）宣传计算机信息系统安全保护法律、法规、规章；

（二）监督、检查、指导计算机信息系统安全保护工作；

（三）组织培训计算机信息系统安全管理人员；

（四）查处危害计算机信息系统安全的违法犯罪案件；

（五）对重要领域、重点单位的计算机信息系统的建设工程进行安全指导；

（六）负责计算机病毒和其他有害数据的防治管理工作；

（七）监督、检查计算机信息系统安全专用产品的销售活动；

（八）依法应当履行的其他职责。国家安全机关、国家保密机关和政府其他有关部门，在规定的职责范围内做好计算机信息系统安全保护的有关工作。

第六条第六条 计算机信息系统的建设和应用，应当遵守法律、法规和国家其他有关规定。

重要领域、重点单位新建的计算机信息系统，应当在系统建成后30日内由系统建设单位报同级人民政府公安机关备案。

第七条第七条 计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，按照国家有关规定执行。

第八条第八条 计算机信息系统国际联网实行备案制度。使用计算机信息网络国际联网的公民、法人和其他组织，在接入单位办理入网手续时应当填写用户备案表。接入单位应当自网络正式联通之日起30日内，到省公安机关指定的受理单位办理备案手续，并定期报告本网络中用户的变更情况。

第九条第九条 重要领域、重点单位的计算机信息系统使用单位应当建立计算机信息系统安全管理组织，指定安全管理人员。

安全管理组织及安全管理人员负责对计算机信息系统运行情况和运行环境进行检查，编制运行日志，及时消除安全隐患，对可能遭受的侵害和破坏制定应急处置预案。

安全管理人员应当参加公安机关组织的计算机信息系统安全知识培训。

第十条第十条 重要领域、重点单位的计算机信息系统使用单位应当建立下列安全保护管理制度：

（一）计算机机房安全管理制度；

（二）信息发布审核、登记制度；

（三）信息监视、保存、清除和备份制度；

（四）病毒检测和网络安全漏洞检测制度；

（五）账号使用登记和操作权限管理制度；

（六）安全教育和培训制度；

（七）违法案件报告和协助查处制度；

（八）其他与安全保护相关的管理制度。

第十一条第十一条 重要领域、重点单位的计算机信息系统使用单位应当落实下列安全保护技术措施：

（一）60日以上系统网络运行日志和用户使用日志记录保存措施；

（二）安全审计和预警措施；

（三）垃圾邮件清理措施；

（四）身份登记和识别确认措施；

（五）计算机病毒防治措施；

（六）信息群发限制和有害数据防治措施；

（七）国家规定的其他安全技术措施。

第十二条第十二条 互联网上网服务营业场所经营单位在开业前，必须依法经县级以上人民政府公安机关对信息网络安全予以审核合格，并依法取得有关部门颁发的证照。

互联网上网服务营业场所经营单位应当依法履行计算机信息系统安全保护义务，不得擅自停止实施安全技术措施。

第十三条第十三条 任何单位和个人不得利用国际联网从事下列危害计算机信息网络安全的活动：

（一）制作、复制、发布、传播有害信息；

（二）未经允许，对计算机信息网络功能进行删除、修改或者增加；

（三）未经允许，对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加；

（四）故意制作、传播计算机病毒等破坏性程序；

（五）危害计算机信息网络安全的其他行为。

第十四条第十四条 设区市以上人民政府公安机关应当在网站或者其他媒体上及时发布计算机病毒疫情预报。

其他任何单位和个人不得以任何方式发布计算机病毒疫情。

第十五条第十五条 对计算机信息系统中发生的违法案件，使用单位发现后应当迅速采取措施，保护现场和相关资料，并在24小时内向县级以上人民政府公安机关报告。公安机关接到报告后应当立即采取措施进行处置。涉及国家安全的，由国家安全机关依法进行处置。

对计算机信息系统中发生的违法案件和重大安全事故的有关情况，县级以上人民政府公安机关应当及时向使用单位通报。

第十六条第十六条 公安机关应当对计算机信息系统进行不定期安全检查，发现安全隐患时，应当及时向使用单位发出《计算机信息系统安全隐患整改通知书》，并提出改进意见，指导、督促使用单位限期整改，消除隐患。

第十七条第十七条 公安机关为保护计算机信息系统安全，在下列紧急情况下，可以采取24小时内暂时停机、暂停联网、备份数据等措施，有关单位和个人应当如实提供有关信息和资料，并提供相关技术支持和必要的协助：

（一）计算机信息系统遭恶意攻击导致系统瘫痪的；

（二）计算机信息系统遭病毒感染导致系统瘫痪的；

（三）通过计算机信息系统向外大量发送有害信息的；

（四）在对计算机信息系统中发生的案件进行侦察过程中，证据可能灭失或者以后难以取得的；

（五）其他应当采取紧急措施的情况。

县级以上人民政府公安机关采取前款规定的紧急措施前，应当报经本机关主要负责人批准。

第十八条第十八条 计算机信息系统安全专用产品生产者在其产品进入市场销售之前，应当依法取得公安部颁发的《计算机信息系统安全专用产品销售许可证》，并在其产品的固定位置标明“销售许可”标记。

任何单位和个人不得销售无“销售许可”标记的安全专用产品。

从事计算机信息系统安全专用产品经营的，应当在开业后30日内报设区市以上人民政府公安机关备案。

第十九条第十九条 设区市以上人民政府公安机关负责计算机信息系统安全专用产品销售许可证的监督检查工作，对销售计算机信息系统安全专用产品的单位和个人，可以采取验证检查和抽样检测等监督措施。

对商用密码的管理，按照国务院《商用密码管理条例》的规定执行。

第二十条第二十条 重要领域、重点单位新建的计算机信息系统未在规定期限内备案的，由公安机关责令限期改正；逾期不改正的，处以1000元以下罚款。

第二十一条第二十一条 重要领域、重点单位的计算机信息系统使用单位违反本办法第九条规定的，由公安机关责令限期整改；逾期不整改的，公安机关可以处以6个月以内停机整顿。

第二十二条第二十二条 重要领域、重点单位的计算机信息系统使用单位违反本办法第十条、第十一条规定的，由公安机关责令限期改正，给予警告；逾期不改正的，对单位直接负责的主管人员和其他直接责任人员可以并处5000元以下罚款，对单位可以并处15000元以下罚款；情节严重的，可以并处6个月以内停止联网、停机整顿。

第二十三条第二十三条 利用国际联网从事本办法第十三条所列活动的，由公安机关给予警告，有违法所得的，没收违法所得，对个人可以并处5000元以下罚款，对单位可以并处 15000元以下罚款；情节严重的，可以并处6个月以内停止联网、停机整顿；违反治安管理规定的，依法予以治安处罚；构成犯罪的，依法追究刑事责任。

第二十四条第二十四条 计算机信息系统安全专用产品经营者销售无“销售许可”标记的安全专用产品，或者未按照本办法的要求在规定期限内办理备案手续的，由公安机关责令限期改正；逾期不改正的，处以1000元以上5000元以下罚款。

第二十五条第二十五条 违反本办法规定的其他行为，国家另有处罚规定的，从其规定。

第二十六条第二十六条 公安人员在计算机信息系统安全保护工作中，利用职权索取、收受贿赂或者有其他违法、失职行为，构成犯罪的，依法追究刑事责任；尚不构成犯罪的，依法给予行政处分。

第二十七条第二十七条 本办法下列用语的含义为：计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。

有害数据，是指计算机信息系统及其存储介质中存在、出现的，危害计算机信息系统安全运行和功能发挥的程序，或者对国家安全和社会公共安全构成危害或者潜在威胁的信息。

接入单位，是指负责接入国际联网的计算机信息网络运行单位。

计算机信息系统安全专用产品，是指用于保护计算机信息系统安全的专用硬件和软件产品。

第二十八条第二十八条 军队的计算机信息系统安全保护工作，按照军队的有关法规执行。

第二十九条第二十九条 计算机信息系统的保密管理，依照国家和省的有关规定执行。

第三十条第三十条 本办法自2004年11月1日起施行。

本内容来源于政府官方网站，如需引用，请以正式文件为准。

第三篇：计算机信息系统安全管理制度

计算机信息系统安全管理制度

--北京联华中安制定

为加强开发区计算机信息系统安全和保密管理，保障计算机信息系统的安全，北京联华中安信息技术有限公司特制定本管理制度。

第一条 严格落实计算机信息系统安全和保密管理工作责任制。按照“谁主管谁负责、谁运行谁负责、谁公开谁负责”的原则，各科室在其职责范围内，负责本单位计算机信息系统的安全和保密管理。

第二条 办公室是全局计算机信息系统安全和保密管理的职能部门。办公室负责具体管理和技术保障工作。

第三条 计算机信息系统应当按照国家保密法标准和国家信息安全等级保护的要求实行分类分级管理，并与保密设施同步规划、同步建设。

第四条 局域网分为内网、外网。内网运行各类办公软件，专用于公文的处理和交换，属涉密网；外网专用于各部门和个人浏览国际互联网，属非涉密网。上内网的计算机不得再上外网，涉及国家秘密的信息应当在指定的涉密信息系统中处理。

第五条 购置计算机及相关设备须按保密局指定的有关参数指标由机关事务中心统一购置，并对新购置的计算机及相关设备进行保密技术处理。办公室将新购置的计算机及相关设备的有关信息参数登记备案后统一发放。经办公室验收的计算机，方可提供上网IP地址，接入机关局域网。

第六条 计算机的使用管理应符合下列要求：

（一）严禁同一计算机既上互联网又处理涉密信息；

（二）各科室要建立完整的办公计算机及网络设备技术档案，定期对计算机及软件安装情况进行检查和登记备案；

（三）设置开机口令，长度不得少于8个字符，并定期更换，防止口令被盗；

（四）安装正版防病毒等安全防护软件，并及时进行升级，及时更新操作系统补丁程序；

（五）未经办公室认可，机关内所有办公计算机不得修改上网IP地址、网关、DNS服务器、子网掩码等设置；

（六）严禁使用含有无线网卡、无线鼠标、无线键盘等具有无线互联功能的设备处理涉密信息；

（七）严禁将办公计算机带到与工作无关的场所；确因工作需要需携带有涉密信息的手提电脑外出的，必须确保涉密信息安全。第七条 涉密移动存储设备的使用管理应符合下列要求：

（一）分别由各科室兼职保密员负责登记，做到专人专用专管，并将登记情况报信息中心备案；

（二）严禁涉密移动存储设备在内、外网之间交叉使用；

（三）移动存储设备在接入本部门计算机信息系统之前，应查杀病毒、木马等恶意代码；

（四）鼓励采用密码技术等对移动存储设备中的信息进行保护；

（五）严禁将涉密存储设备带到与工作无关的场所。第八条 数据复制操作管理应符合下列要求：

（一）将互联网上的信息复制到内网时，应采取严格的技术防护措施，查杀病毒、木马等恶意代码，严防病毒等传播；

（二）使用移动存储设备从内网向外网复制数据时，应当采取严格的保密措施，防止泄密；

（三）复制和传递密级电子文档，应当严格按照复制和传递同等密级纸质文件的有关规定办理。不得利用电子邮件传递、转发或抄送涉密信息；

（四）各科室因工作需要向外网公开内部信息资料时，必须由该科室负责人审核同意，交由办公室统一发布。

第九条 办公计算机及相关设备由机关事务中心负责维护，按保密要求实行定点维修。需外请维修的，要派专人全程监督；需外送维修的，应由办公室拆除信息存储部件，以防止存储资料泄密。

第十条 办公计算机及相关设备在变更用途时，必须进行严格的消磁技术处理。第十一条 办公计算机及相关设备报废时，应由信息中心拆除存储部件，然后交办公室核定，由机关事务中心按有关要求统一销毁，同时作好备案登记。严禁各科室自行处理报废计算机。

第十二条 加强对兼职保密员的管理，积极参加国家保密工作部门组织的岗位职能培训。定期内办公室组织开展经常性的保密教育培训，提高机关工作人员的计算机信息安全保密意识与技能。

第十三条 办公室要加强机关计算机信息系统安全和保密管理情况的监督，定期进行检查，提高泄密隐患发现能力和泄密事件应急处置能力。其它各科室要密切配合，共同做好计算机信息系统安全和保密工作。

第十四条 机关工作人员离岗离职，有关科室应即时取消其计算机涉密信息系统访问授权，收回计算机、移动存储设备等相关物品。

第十五条 各科室和个人应当接受并配合机关保密工作领导小组组织的保密监督检查，协助核查有关泄密行为。对违反本规定的有关人员应给予批评教育，并责令限期整改；造成泄密事件的，由有关部门根据国家相关保密法律法规进行查处，并追究相关责任人的责任。

第十六条 各科室要根据本规定，确保涉密信息安全。

本制度是经总经理核准后公布实施

北京联华中安信息技术有限公司

二零一四年五月十日

第四篇：计算机信息系统安全保密制度

计算机信息系统安全保密制度

为了切实加强我局计算机网络信息系统安全保密管理工作，根据国家保密局《计算机信息系统保密管理暂行规定》的要求，结合本局实际,制订本制度。

一、我局计算机信息网络系统的保密管理由局保密领导小组负责。具体工作由办公室专人承办。

二、涉密信息不得在与互联网络联网的计算机信息系统中存储、处理、传递。

三、计算机信息系统打印输出的涉密文件，应当按相应密级的文件进行管理。

四、存储过涉密信息的计算机媒体的维修应原地维修，保证其所存储的国家秘密不被泄露。

五、存储涉密信息的计算机媒体，应按所存储信息的密级标明密级，并按相应密级的文件进行管理。

六、存储涉密信息的计算机安装的操作系统软件和重要的应用软件必须具有合法的使用权，严禁把非法版权软件安装在装有重要数据的计算机上。

七、计算机信息网络的访问采取严格的权限控制和数据保护措施。计算机信息网络系统的用户定期更换口令，严禁将口令告诉无关人员。

八、涉密信息的计算机应定期进行保密技术检查。

第五篇：计算机信息系统安全管理制度

计算机信息系统安全管理制度

总 则

第一条 为加强公司网络管理，明确岗位职责，规范操作流程，维护网络正常运行，确保计算机信息系统的安全，现根据《中华人民共和国计算机信息系统安全保护条例》等有关规定，结合本公司实际，特制订本制度。

第二条 计算机信息系统是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

第三条信息中心的职责为专门负责本公司范围内的计算机信息系统安全管理工作。

第一章 网络管理

第四条 遵守公司的规章制度，严格执行安全保密制度，不得利用网络从事危害公司安全、泄露公司秘密等活动，不得制作、浏览、复制、传播反动及淫秽信息，不得在网络上发布公司相关的非法和虚假消息，不得在网上泄露公司的任何隐私。严禁通过网络进行任何黑客活动和性质类似的破坏活动，严格控制和防范计算机病毒的侵入。

第五条 各工作计算机未进行安全配置、未装防火墙或杀毒软件的，不得入网。各计算机终端用户应定期对计算机系统、杀毒软件等进行升级和更新，并定期进行病毒清查，不要下载和使用未经测试和来历不明的软件、不要打开来历不明的电子邮件、以及不要随意使用带毒U盘等介质。

第六条 禁止未授权用户接入公司计算机网络及访问网络中的资源，禁止未授权用户使用BT、电驴等占用大量带宽的下载工具。

第七条 任何员工不得制造或者故意输入、传播计算机病毒和其他有害数据，不得利用非法手段复制、截收、篡改计算机信息系统中的数据。

第八条 公司员工禁止利用扫描、监听、伪装等工具对网络和服务器进行恶意攻击，禁止非法侵入他人网络和服务器系统，禁止利用计算机和网络干扰他人正常工作的行为。

第九条 计算机各终端用户应保管好自己的用户帐号和密码。严禁随意向他人泄露、借用自己的帐号和密码；严禁不以真实身份登录系统。计算机使用者更应定期更改密码、使用复杂密码。

第十条 IP地址为计算机网络的重要资源，计算机各终端用户应在信息中心的规划下使用这些资源，不得擅自更改。另外，某些系统服务对网络产生影响，计算机各终端用户应在信息中心的指导下使用，禁止随意开启计算机中的系统服务，保证计算机网络畅通运行。

第二章 设备管理

第十一条 公司员工因工作需要，确需购买IT设备或配件的，可向信息中心提出申请，若有符合需求的可调配设备；若无可调配或有但不符合工作需要的设备，由申请人填写《信息设备申请表》。若因工作需要对设备配置有特殊要求的，需在申请表中说明。

第十二条 凡登记在案的IT设备，由信息中心统一管理并张贴IT设备卡。IT设备卡作为相应设备的标识，各终端用户有义务保证贴牌的整洁与完整，不得遮盖、撕毁、涂画等。

第十三条 IT设备安全管理实行“谁使用谁负责”的原则（公用设备责任落实到部门）。凡子公司或合作单位自行购买的设备，原则上由分公司或合作单位自行负责，但若有需要，信息中心可协助处理。

第十四条 严禁使用假冒伪劣产品；严禁擅自外接电源开关和插座；严禁擅自移动和装拆各类设备及其他辅助设备；严禁擅自请人维修；严禁擅自调整部门内部计算机信息系统的安排。

第十五条 设备硬件或重装操作系统等问题由信息中心进行处理。第十六条 原购IT设备原则上在规定使用年限内不再重复购买，达到规定使用年限后，由信息中心会同相关部门对其审核后处理。在规定使用年限期间，计算机终端用户因工作需要发生调动或离职，需要继续使用该计算机的应在信息中心作变更备案；不继续使用该计算机的，部门领导需监督责任人将计算机及相关设备及时退回信息中心，由信息中心再行支配。

第十七条 设备出现故障无法维修或维修成本过高，且符合报废条件的，由IT设备终端用户提出申请，并填写《IT设备报废申请表》，由相应部门经理签字后报信息中心。经信息中心对设备使用年限、维修情况等进行鉴定，将报废设备交有关部门处理，如报废设备能出售，将收回的资金交公司财务入账。同时，由信息中心对报废设备登记备案、存档。

第三章 数据管理

第十八条 计算机终端用户计算机内的资料涉及公司秘密的，应该为计算机设定开机密码或将文件加密；凡涉及公司机密的数据或文件，非工作需要不得以任何形式转移，更不得透露给他人。离开原工作岗位的员工由所在部门经理负责将其所有工作资料收回并保存。

第十九条 工作范围内的重要数据（重要程度由各部门经理核定）由计算机终端用户定期更新、备份，并提交给所在部门部长，由部门部长负责保存。各部门经理在一个季度开始后10天之内将本部门上一季度的工作数据交行政人事部汇集后统一采用磁性介质或光盘保存。

第二十条 计算机终端用户务必将有价值的数据存放在除系统盘(操作系统所在的硬盘分区，一般是C盘)外的盘上。计算机信息系统发生故障，应及时与信息中心联系并采取保护数据安全的措施。

第二十一条 对重要的数据应准备双份，存放在不同的地点；对采用磁性介质或光盘保存的数据，要定期进行检查，定期进行复制，防止由于磁性介质损坏，而使数据丢失；做好防磁、防火、防潮和防尘工作。

第四章 操作管理

第二十二条 凡涉及业务的专业软件由使用人员自行负责。严禁利用计算机干与工作无关的事情；严禁除维修人员以外的外部人员操作各类设备；严禁非信息中心人员随意更改设备配置。

第二十三条 信息中心将有针对性地对员工的计算机应用技能进行定期或不定期的培训，培训成绩将记入员工绩效考核；由信息中心收集计算机信息系统常见故障及排除方法并整理成册，供公司员工学习参考。

第二十四条 计算机终端用户在工作中遇到计算机信息系统问题，首先要学会自行处理或参照手册处理；若遇到手册中没有此问题，或培训未曾讲过的问题，再与信息中心或软件开发单位、硬件供应商联系，尽快解决问题。

第五章 网站管理

第二十五条 公司网站由信息中心提供技术支持和后台管理，由公司相关部门提供经审核后的书面和电子版网站建设资料。

（一）网站、网页出现非法言论时的紧急处置措施

1、网站、网页由信息中心人员随时密切监视信息内容。

2、发现网上出现非法信息时，负责人员应立即向部门领导通报情况，情况紧急的应先采取删除等处理措施，再按流程办理。

3、网站负责人员在接到通知后立即清理非法信息，强化安全防范措施，并将网站网页重新投入使用。

4、网站负责人员应妥善保存有关记录及日志或检查记录。

（二）黑客攻击时的紧急处置措施

1、当有网页内容被篡改，或通过公司网络防火墙发现有黑客正在进行攻击时, 首先应将被攻击的服务器等设备断开网络，同时向上级领导汇报情况。

2、网站负责人员立即进行将被破坏系统进行恢复和重建。

（三）病毒安全紧急处置措施

1、当发现计算机感染病毒后，应立即将该机从网络上隔离出来。

2、对存放数据的计算机的硬盘进行数据备份。

3、启用反病毒软件对该机进行杀毒，同时用杀毒软件对其他联网机器进行病毒扫描和清除。

4、如发现杀毒软件无法清除该病毒，应立即向上级领导报告。

5、经网站负责人员确认确实无法查杀该病毒后，应作好相关记录，同时立即联系相关技术人员迅速研究并解决问题。

6、如果感染病毒的设备是服务器或者主机系统，经上级领导同意，应立即切断服务器并告知客户端人员进行客户端机器的杀毒工作。

（四）软件系统遭受破坏性攻击的紧急处置措施

1、OA等重要的软件系统平时必须存有备份，与软件系统相对应的数据必须有多日备份，并将它们保存于不同的机器上。

2、如发现软件遭到破坏或运行不正常，应立即向信息中心人员报告。

3、信息中心人员立即进行软件系统和数据的恢复。

（五）数据库安全紧急处置措施

1、各数据库系统要至少准备两个以上数据库备份。

2、一旦数据库崩溃，应立即上级领导报告，同时通知各部门使用人员暂缓上传上报数据。

3、信息中心人员应对主机系统进行维护，如遇无法解决的问题，立即向上级领导汇报并及时通知专业技术人员进行处理。

4、系统修复完毕后，按照要求恢复数据。

5、如果备份数据也出现问题，及时汇报领导并且联系软件开发商解决。

（六）设备安全紧急处置措施

1、计算机、服务器等关键设备损坏后，应立即通知信息中心人员。

2、信息中心人员应立即查明原因。

3、如果能够自行恢复，应立即用备件替换受损部件。

4、如果不能自行恢复的，立即与设备提供商联系，请求派专业维修人员进行维修。

5、如果设备一时不能修复，应向上级领导汇报。

（七）关键人员不在岗的紧急处置措施

1、对于关键岗位平时应做好人员储备，确保一项工作有两人能操作。

2、一旦发生关键人员不在岗的情况，首先应向上级领导汇报。

3、经上级领导批准后由信息中心其他人员进行操作。

第六章 处罚措施

第二十六条 计算机终端用户擅自下载、安装或存放与工作无关的文件,经查实后，根据文件大小第一次按10元/100M（四舍五入到百兆）进行罚款，以后每次按倍数原则（第二次20元/100M，第三40元/100M，第四次80元/100M，以此类推）处罚。凡某一使用责任人此种情况出现三次以上（包括三次），将给予行政处罚。

第二十七条 有以下情况之一者，视情节严重程度处以50元以上500元以下罚款。

（一）制造或者故意输入、传播计算机病毒以及其他有害数据的；

（二）非法复制、截收、篡改计算机信息系统中的数据危害计算机信息系统安全的；

（三）对网络和服务器进行恶意攻击，侵入他人网络和服务器系统，利用计算机和网络干扰他人正常工作；

（四）访问未经授权的文件、系统或更改设备设置；

（五）申请人在设备领用或报废一周之内未将第二章所涉及到的表单交会信息中心；

（六）擅自与他人更换使用计算机或相关设备；

（七）擅自调整部门内部计算机的安排且未向信息中心备案；

（八）日常抽查、岗位调动、离职时检查到计算机配置与该计算机档案不符、IT设备卡被撕毁、涂画或遮盖等。

（九）工作时间外使用公司计算机做与工作无关的事务；

（十）相同故障多次出现且经判断故障原因为个人原因所导致的；

（十一）因工作需要长时间(五个小时以上)离开办公位置或下班后无故未将计算机关闭；

第二十八条 计算机终端用户因主观操作不当对设备造成破坏两次以上或蓄意对设备造成破坏的，视情节严重，按所破坏设备市场价值的20%~80%赔偿，并给予行政处罚。

第七章 附 则

第二十九条 本制度下列用语的含义：

设备：指为完成工作而购买的笔记本电脑、台式电脑、打印机、复印机、传真机、扫描仪等IT设备。

有害数据:指与计算机信息系统相关的，含有危害计算机信息系统安全运行的程序，或者对国家和社会公共安全构成危害或潜在威胁的数据。

合法用户：经信息中心授权使用本公司网络资源的本公司员工，其余均为非法用户。

第三十条 计算机终端用户应积极配合信息中心共同做好计算机信息系统安全管理工作。

第三十一条 本制度适用于全公司范围，由总裁办信息中心负责解释、修订。

第三十二条 本制度自发布之日起实施，凡原制度与本制度不相符的，照本制度执行。